Tien signalen dat een finance-app je data verkoopt — en hoe je het zelf kunt checken
Elke finance-app zet "privacy-first" op zijn homepage. De praktijk loopt soms flink anders. Hieronder tien concrete signalen die je zelf kunt checken — in je browser, op hun website, in het privacybeleid — die je vertellen of een app je data monetizeert zonder het hardop te zeggen.
Deze checklist werkt op élke finance-app. Ook op Okidoky (en we leggen bij elk punt uit hoe we ervoor staan).
1. Het privacybeleid bevat de woorden "aggregated", "anonymized" of "pseudonymized"
Wat te zoeken: zinnen zoals "we share aggregated and anonymized data with partners".
Waarom het telt: "Anonymized" klinkt onschuldig maar in de praktijk betekent het vaak dat jouw transactie-patronen, gehashed, worden verkocht aan data-brokers. Onderzoek toont herhaaldelijk dat "geanonimiseerde" data vaak opnieuw te deanonimiseren is als je genoeg dimensies hebt (locatie + tijd + bedragen).
Okidoky: niet van toepassing — we aggregeren niets, geanonimiseerd noch anders. Ons privacybeleid bevat deze woorden niet, met opzet.
2. De gratis versie heeft geen redelijke beperking
Wat te zoeken: apps met volledig onbeperkte gratis versie én geen advertenties.
Waarom het telt: servers kosten geld. Als noch u betaalt, noch een adverteerder, dan is er een derde partij die betaalt voor uw aanwezigheid — meestal door data aan te kopen.
Okidoky: onze gratis versie heeft duidelijke beperkingen (50 transacties per maand, 2 bonnetjes uploaden, 3 maanden historie zichtbaar) plus beperkte niet-intrusieve advertenties. Die combinatie van limieten + advertenties is goedkoper voor ons dan data-verkoop zou opbrengen.
3. Er staat een partnerschap met een data-aggregator in het privacybeleid
Wat te zoeken: namen als Tink, Plaid, Yapily, Nordigen, Finicity, Budget Insight, MX in het privacy-beleid.
Waarom het telt: als jouw app een bank-koppeling aanbiedt via een aggregator, dan gaat je data dus éérst langs die aggregator — en de meeste aggregators hebben ruimere data-rechten dan de app zelf. Lees het beleid van de aggregator, niet alleen dat van de app.
Okidoky: niet van toepassing — we hebben géén bank-koppeling en dus ook geen aggregator. Transacties komen via CSV-upload, die blijft binnen ons domein.
4. Er zit een ad-SDK of analytics-SDK in de app
Wat te checken: download de mobile app en gebruik een netwerk-inspector (bijv. mitmproxy of Charles). Kijk welke domeinen worden aangesproken. Voor web-apps: open F12 → Network-tab en log in — welke third-party domeinen zie je?
Waarom het telt: Firebase Analytics, Mixpanel, Amplitude, Segment of Facebook Pixel op ingelogde pagina's signaleren dat je gedrag wordt getraceerd — vaak met transactie-categorieën in de event-payload.
Okidoky: open je devtools op /dashboard (na inloggen met een betaalde licentie). Je ziet alleen verzoeken naar okidoky.nl plus de normale stateless CDN's voor fonts (fonts.googleapis.com, fonts.gstatic.com) en icons (cdn.jsdelivr.net). Geen Google Analytics, geen Mixpanel, geen Segment. Op gratis-tier-pagina's laadt ook pagead2.googlesyndication.com voor AdSense — dat is onze gedocumenteerde inkomstenbron voor free-accounts, niet stiekeme data-verkoop. Op publieke marketing-pagina's laadt GA4 (consent-gated, default denied) én AdSense. Verschil tussen deze groepen: CDN's zijn stateless (geen cookies/tracking), analytics + ads zijn dat wel — en we noemen expliciet welke we gebruiken en waar.
5. De app vraagt om rechten die niet nodig zijn voor de functie
Wat te checken: bij mobile apps — staan er rechten als "toegang tot contacten", "GPS-locatie" of "netwerkomgeving-scannen" in de app-permissies?
Waarom het telt: een budget-app heeft géén contacten nodig. GPS is alleen logisch als de app een "nabije ATM"-functie heeft, wat een kasboek niet nodig heeft. Extra rechten = extra data-punten om te verwerken of door te verkopen.
Okidoky: we zijn een web-app; er zijn geen app-permissies om te vragen. De PWA vraagt alleen om notificatie-permissie als jij er zelf om vraagt.
6. Er is geen publieke sub-verwerkers-lijst
Wat te zoeken: een URL met een lijst van alle derden die jouw data aanraken (hosting, mail-relay, analytics, betalingen). Soms genoemd "data processors" of "vendors".
Waarom het telt: GDPR verplicht transparantie over sub-verwerkers voor B2B-klanten, maar is lakser voor consumenten. Een app die geen sub-verwerkers publiceert heeft ofwel iets te verbergen, ofwel onvolwassen governance.
Okidoky: /sub-verwerkers bevat een uitputtende lijst per categorie: infrastructuur (Hetzner, Plesk, Cloudflare), betalingen (Mollie), communicatie (SMTP via Plesk), analytics (GA4 — consent-gated) en advertenties voor free-tier (Google AdSense — consent-gated). Elk met reden, locatie en DPA.
7. De exit-weg is moeilijker dan de entry
Wat te checken: hoe simpel is aanmelden versus hoe simpel is account-verwijderen? Moet je bellen om op te zeggen? Is er een "hidden" delete-knop?
Waarom het telt: apps die data-verkoop als businessmodel hebben willen gebruikers vasthouden, ook passief. Moeilijk weg = langer data leveren.
Okidoky: eerlijke melding — verwijdering gaat via een e-mail naar info@okidoky.nl met 48-uur SLA. Zelfbedienings-knop staat op de roadmap, is nog niet gebouwd. Dat is een ~5 minuten extra stap die we expres houden om onwel-misbruik te voorkomen, niet om retentie te forceren.
8. De "gratis maand" vereist een creditcard
Wat te zoeken: bij het aanmelden wordt direct om een betaalmiddel gevraagd, ook bij een "14 dagen gratis" claim.
Waarom het telt: creditcard-bij-signup is een klassiek dark pattern. Het doel is dat jij vergeet op te zeggen en doorbetaalt. Een ander signaal: je betaalt met data of creditcard-fees voor een "gratis" periode.
Okidoky: geen creditcard bij registratie. Je krijgt automatisch 14 dagen Premium-trial, daarna vervalt je account naar gratis — zonder dat we jouw betaalgegevens ooit hebben gehad.
9. De app toont "sentiment" over jouw uitgaven
Wat te zoeken: berichten zoals "we zien dat u meer uitgeeft dan normaal" of "u heeft een goede maand gehad". Klinkt vriendelijk, vereist machinale analyse van jouw patronen.
Waarom het telt: deze inzichten worden typisch gegenereerd door een LLM of statistisch model dat op een centraal server draait met zicht op alle gebruikers. Dat model traint op jouw data, óók als het over jou teruglevert.
Okidoky: geen sentiment-analyse, geen "u heeft deze maand goed gedaan"-meldingen, geen AI-coach. Onze prognoses gebruiken standaard statistiek (3-6 maanden gemiddelden, seizoenspatronen) — geen model dat op gebruikersdata wordt getraind. Meer over hoe dit werkt staat in ons post Wat Okidoky leert van je data.
10. Het privacybeleid is recent veranderd zonder e-mail
Wat te checken: kijk de Wayback Machine op hun privacybeleid-URL. Zie je wijzigingen in de afgelopen 6 maanden? Hebben gebruikers daar een expliciete e-mail over gekregen?
Waarom het telt: privacybeleid dat stilzwijgend breder wordt ("we kunnen nu ook delen met marketingpartners") is een klassiek patroon bij apps die van Freemium naar data-monetization verschuiven. Goede apps sturen bij élke materiële wijziging een e-mail, met expliciete opt-in voor nieuwe data-verwerkingen.
Okidoky: bij elke materiële wijziging ontvang je een e-mail met dagtekening. De privacybeleid-versie staat onderaan de pagina zichtbaar. Wayback-Machine-geschiedenis is publiek.
De twee-minuten-test
Als je geen tijd hebt om al deze punten door te lopen, doe deze snelle check:
- Open F12 → Network-tab in je browser
- Log in bij de app
- Open het dashboard / overzicht (dus achter de login)
- Kijk welke domeinen worden aangesproken
Als je achter de login naast het app-domein óók analytics.google.com, googletagmanager.com, segment.io, mixpanel.com, firebase.google.com of iets vergelijkbaars ziet — dan word je waarschijnlijk gevolgd binnen de app-ervaring zelf. Dat is een duidelijker signaal dan enige analytics op publieke marketing-pagina's (daar is het gangbaar en meestal consent-gated).
Bij Okidoky achter de login (betaald account) zie je: okidoky.nl + stateless CDN's voor fonts/icons (Google Fonts, jsDelivr) + mollie.com tijdens aankoop. Bij een gratis-tier-account zie je daarnaast pagead2.googlesyndication.com (AdSense — de gedocumenteerde inkomstenbron die free accounts draagt). Op publieke marketing-pagina's laadt bovendien GA4 via Google Tag Manager (Consent Mode v2 — default denied, dus geen opslag zonder jouw toestemming). Geen Mixpanel, Segment of Amplitude. Geen analytics-SDKs in de ingelogde app van betaalde gebruikers. Dat onderscheid — en dat we elk domein openlijk benoemen — is precies het punt.
Deze checklist is vrij te gebruiken. Test 'm op drie apps die je overweegt en kies de app met de schoonste score — dat is meestal de beste keuze voor de lange termijn. Okidoky — probeer gratis, geen creditcard.